in linea di massima va bene, volendo puoi mettere anche un controllo sull'http_referer, ma non è attendibile.

ricordati di fare controllo sui contenuti delle variabili prima di utilizzarle.